L'intelligence artificielle n'est plus un sujet de science-fiction ou de grandes entreprises technologiques. Elle s'est installée discrètement dans les outils du quotidien : traitement de texte avec suggestions automatiques, messagerie qui complète les phrases, outils de traduction, assistants de rédaction, générateurs d'images.

Pour une secrétaire de mairie qui utilise ChatGPT pour rédiger plus vite, un responsable de communication associatif qui génère des visuels avec Midjourney, ou un artisan qui fait corriger ses devis par Copilot — l'IA est déjà là, souvent sans qu'on l'ait formellement décidé.

Le règlement européen sur l'intelligence artificielle (AI Act) entre pleinement en application le 2 août 2026. Il ne va pas interdire ces usages. Mais il impose de nouveaux cadres, notamment en matière de transparence, que les organisations — y compris les petites — doivent commencer à comprendre.

Ce que dit l'AI Act, sans le jargon

L'AI Act classe les systèmes d'IA en plusieurs catégories selon le niveau de risque qu'ils présentent.

Risque inacceptable : systèmes d'IA interdits (notation sociale généralisée, manipulation subliminale, reconnaissance faciale en temps réel dans les espaces publics dans la plupart des cas). Ces interdictions ne concernent pas les usages courants dans les petites structures.

Risque élevé : systèmes d'IA utilisés dans des domaines sensibles comme la sélection de candidats à l'embauche, l'évaluation des risques de crédit, le tri de candidatures à des prestations sociales, les systèmes biométriques. Ces systèmes sont soumis à des obligations strictes de transparence, de documentation et d'audit. Là encore, la plupart des petites structures ne développent pas ces systèmes.

Risque limité : c'est là que les usages quotidiens apparaissent. Un chatbot sur un site web, un système qui génère des textes ou des images, un outil de traduction automatique. Pour ces systèmes, l'obligation principale est la transparence : informer les personnes qu'elles interagissent avec un système automatisé, et que le contenu qu'elles consultent a été généré ou manipulé par une IA.

Risque minimal : jeux vidéo, filtres anti-spam, outils de recommandation de contenu non personnalisé. Pas d'obligation spécifique.

À partir du 2 août 2026, les obligations de transparence pour les systèmes à risque limité s'appliquent. Concrètement : si votre site propose un chatbot, si vous publiez des textes rédigés par une IA sans le mentionner dans certains contextes, si vous utilisez des images générées par une IA pour illustrer des documents officiels — des règles s'appliquent.

Les usages les plus courants dans les petites structures

La rédaction assistée

ChatGPT, Claude, Gemini, Copilot — ces outils sont utilisés pour rédiger des notes, des comptes rendus, des articles, des emails, des publications sur les réseaux sociaux. L'usage est généralement licite et utile.

Le risque principal n'est pas réglementaire, mais éditorial et de données : ne jamais saisir dans ces outils des données personnelles (nom, adresse, situation sociale d'un administré, informations RH) sans avoir vérifié les conditions d'utilisation et les modalités de traitement des données.

Les outils grand public (version gratuite de ChatGPT, par exemple) utilisent parfois les conversations pour entraîner leurs modèles. Ce n'est pas une raison de ne pas les utiliser, mais c'est une raison de ne pas y copier des données personnelles ou confidentielles.

Les chatbots sur les sites web

Un chatbot qui répond aux questions des visiteurs sur un site de commune ou d'association est un système à risque limité au sens de l'AI Act. À partir du 2 août 2026, il faut informer clairement les utilisateurs qu'ils interagissent avec un système automatisé et non avec un être humain.

Cette obligation de transparence est déjà une bonne pratique. La mettre en place maintenant, c'est se conformer à la réglementation à venir et éviter une perte de confiance des usagers qui découvriraient après coup qu'ils n'ont pas parlé à une personne réelle.

La génération d'images

Des outils comme Midjourney, DALL-E ou Stable Diffusion permettent de générer des images à partir de descriptions textuelles. Ces images sont utilisées pour illustrer des publications, des newsletters, des affiches.

Points de vigilance :

  • Droits d'auteur : les images générées par IA posent des questions juridiques non encore totalement tranchées en Europe. Vérifier les conditions d'utilisation de l'outil utilisé.
  • Transparence : l'AI Act imposera dans certains contextes de signaler que des images ont été générées par IA (notamment pour les contenus deepfake ou manipulés). Pour une communication institutionnelle, la transparence est toujours la meilleure posture.
  • Biais : les outils de génération d'images peuvent reproduire des stéréotypes. Vérifier que les images produites sont représentatives et ne véhiculent pas de représentations problématiques.

L'IA dans les outils bureautiques

Microsoft 365 Copilot, Google Workspace avec Gemini, Notion AI — les fonctionnalités d'IA sont intégrées dans les suites bureautiques. Elles sont souvent activées par défaut ou proposées comme fonctionnalité premium.

Question à se poser : savez-vous quelles fonctionnalités d'IA sont actives dans vos outils, et quelles données elles traitent ? Dans certaines configurations, les données de vos documents peuvent être utilisées pour améliorer les modèles du fournisseur. Vérifier les paramètres de confidentialité et les conditions du contrat entreprise.

Ce que l'AI Act ne fait pas

L'AI Act n'interdit pas l'utilisation d'outils d'IA dans les petites structures. Il n'impose pas de déclaration ou d'autorisation préalable pour les usages courants. Il ne crée pas de bureaucratie spécifique pour les utilisateurs finaux d'outils grand public.

L'essentiel de la charge réglementaire pèse sur les fournisseurs de systèmes d'IA à risque élevé, pas sur les utilisateurs de ChatGPT ou de Copilot.

Ce que l'AI Act impose aux petites structures utilisatrices, c'est essentiellement :

  • être transparentes vis-à-vis de leurs usagers, clients ou administrés quand elles déploient des systèmes automatisés visibles (chatbot, contenu généré) ;
  • être vigilantes sur le traitement des données dans les outils utilisés ;
  • ne pas utiliser d'IA à des fins discriminatoires ou contraires aux droits fondamentaux.

Les risques réels pour les petites structures

Au-delà de la réglementation, les usages d'IA comportent des risques concrets qu'il faut connaître.

Le risque de confidentialité : saisir des données personnelles d'administrés, de salariés ou de clients dans un outil grand public sans avoir vérifié les conditions de traitement.

Le risque de désinformation : les outils de génération de texte peuvent produire des informations fausses présentées avec un ton confiant (« hallucinations »). Un communiqué de presse ou un document officiel généré par IA doit être relu et vérifié.

Le risque de dépendance : si un processus de travail repose entièrement sur un outil d'IA dont les conditions d'utilisation changent, dont le prix augmente ou qui disparaît, la continuité du travail est menacée.

Le risque d'homogénéisation : si toutes les communications d'une organisation sont rédigées par le même outil, le ton, le style et le vocabulaire tendent à s'uniformiser — parfois au détriment de l'identité et de l'authenticité.

Ce qu'il est raisonnable de faire maintenant

Pour une petite structure qui utilise déjà des outils d'IA, ou qui envisage de le faire, voici une démarche pratique.

Faire l'inventaire des usages : quels outils d'IA sont utilisés, par qui, pour quoi, et avec quelles données ? Cette cartographie n'a pas besoin d'être exhaustive — elle doit couvrir les usages significatifs.

Vérifier les conditions d'utilisation des outils : les données saisies sont-elles utilisées pour l'entraînement des modèles ? Existe-t-il une version « entreprise » ou « administration » avec des garanties de confidentialité renforcées ?

Établir des règles simples : une charte interne d'utilisation de l'IA n'a pas besoin d'être un document juridique complexe. Elle doit répondre à trois questions : quels outils sont autorisés, quelles données ne doivent pas y être saisies, et comment signaler les contenus produits par IA quand c'est pertinent.

Informer les usagers si nécessaire : si un chatbot ou un assistant automatisé est déployé sur un site web ou un service numérique, prévoir une information claire pour les utilisateurs.

Former les équipes : les personnes qui utilisent des outils d'IA au quotidien doivent connaître les règles de base — pas nécessairement les détails de l'AI Act, mais les réflexes pratiques (ne pas saisir de données personnelles, vérifier les contenus générés, signaler les usages inhabituels).

À retenir

L'AI Act ne va pas bouleverser le quotidien des petites mairies, des associations ou des TPE qui utilisent ChatGPT ou Copilot. Mais il structure un cadre dans lequel la transparence vis-à-vis des usagers et la vigilance sur les données deviennent des obligations progressives.

La bonne posture n'est pas de bloquer tous les usages d'IA — ce serait contre-productif. C'est de les connaître, de les encadrer simplement et d'en assumer la transparence.

Pour une petite structure, cela passe souvent par trois gestes : un inventaire des outils utilisés, quelques règles simples sur les données, et une information claire aux usagers quand un système automatisé est visible.

Comment Stoelabs peut aider

Stoelabs propose un diagnostic IA responsable pour les collectivités, associations, TPE et PME :

  • cartographie des usages d'IA dans l'organisation ;
  • vérification des conditions de traitement des données dans les outils utilisés ;
  • identification des risques prioritaires (confidentialité, transparence, dépendance) ;
  • aide à la rédaction d'une charte interne d'utilisation de l'IA ;
  • accompagnement sur la transparence vis-à-vis des usagers ;
  • formation courte aux bons réflexes.

Vous utilisez déjà des outils d'IA et vous souhaitez mieux les encadrer ? Commençons par un diagnostic rapide.

Demander un diagnostic →

Sources

  1. Commission européenne — AI Act — Règlement européen sur l'intelligence artificielle, calendrier d'application et obligations de transparence à partir du 2 août 2026.
  2. Journal officiel de l'UE — Règlement (UE) 2024/1689 — Texte intégral du règlement IA.
  3. CNIL — Intelligence artificielle — Ressources CNIL sur les usages d'IA et la protection des données personnelles.
  4. CNIL — Rapport annuel 2025 — Actions de contrôle et priorités, dont les enjeux liés à l'IA.
  5. Cybermalveillance.gouv.fr — Baromètre 2025 de maturité cyber des TPE-PME — État des pratiques numériques dans les petites structures, dont l'adoption des outils numériques.